Installer un VPN sur son routeur

Ce qu'un VPN installé sur le routeur apporte réellement

Installer le client VPN dans le routeur, plutôt qu'une application sur chaque machine, change trois choses. D'abord, tout ce qui se connecte au réseau passe par le tunnel, y compris les appareils qui n'acceptent aucune application : téléviseur, console, imprimante, enceinte connectée, ampoules et caméras. Ensuite, vous n'êtes plus limité par le nombre de connexions simultanées de votre abonnement VPN : le routeur ne compte que pour un seul appareil, quel que soit le nombre de machines derrière lui. Enfin, la protection est permanente : personne n'a plus à penser à activer quoi que ce soit.

C'est aussi ce qui en fait une décision engageante. Un VPN sur le routeur s'applique à tout le foyer, sans exception et sans arbitrage : les autres utilisateurs de la maison subissent un choix qu'ils n'ont pas fait, et perdent la possibilité de couper le tunnel en deux clics. Avant de vous lancer, assurez-vous que c'est bien ce que vous voulez.

Le prix à payer : du débit, et de la chaleur

Chiffrer et déchiffrer chaque paquet est un travail de calcul, et le processeur d'un routeur est modeste. Un routeur domestique atteint rarement plus du tiers de son débit habituel en OpenVPN. WireGuard, plus léger et bien mieux optimisé, a considérablement amélioré la situation depuis que les grandes marques l'intègrent : c'est aujourd'hui le protocole à choisir dès qu'il est proposé des deux côtés.

Retenez la conséquence pratique : sur une fibre à 1 Gb/s, un VPN posé sur un routeur d'entrée de gamme vous ramène au niveau d'un bon ADSL. Si le débit compte, il faut un routeur au processeur solide — c'est précisément le critère qui structure notre comparatif routeur VPN — et il faut privilégier un serveur VPN géographiquement proche, en France ou dans un pays voisin.

Quels routeurs savent héberger un client VPN

La fonction s'appelle « client VPN » et non « serveur VPN » : le serveur sert à se connecter depuis l'extérieur vers votre maison, le client fait sortir votre trafic par un fournisseur. Beaucoup de routeurs proposent seulement le second. Trois familles de matériel conviennent :

• Les Asus récents. Presque toute la gamme, du milieu au haut de gamme, embarque en standard un client OpenVPN et un client WireGuard, avec en prime la fonction VPN Fusion qui permet de choisir appareil par appareil qui passe dans le tunnel. C'est la voie la plus simple, et c'est ce qui explique la place de modèles comme le RT-AX86U Pro dans ce domaine.
• Les routeurs sous firmware alternatif. OpenWrt, DD-WRT ou Asuswrt-Merlin ajoutent la fonction à des modèles qui en sont dépourvus. Le résultat est excellent, mais l'installation annule la garantie et une erreur peut rendre l'appareil inutilisable.
• Les GL.iNet. Ces petits routeurs tournent sous OpenWrt avec une interface simplifiée et un client VPN prêt à l'emploi, y compris pour un usage nomade. Le Beryl AX est le modèle de référence, détaillé dans notre comparatif routeur de voyage.

Les boîtes des opérateurs français, elles, n'offrent pratiquement jamais de client VPN. Si vous partez de là, la solution consiste à ajouter un routeur derrière la box : notre guide routeur derrière une box explique la configuration à adopter pour éviter le double NAT.

La procédure, étape par étape

Les interfaces diffèrent d'une marque à l'autre, mais la logique est toujours la même.

1. Récupérez le fichier de configuration chez votre fournisseur VPN. Dans son espace client, cherchez la section « configuration manuelle » ou « routeur » : vous y téléchargez un fichier .ovpn pour OpenVPN, ou un fichier de configuration WireGuard, propre au serveur choisi. Certains fournisseurs génèrent aussi un identifiant et un mot de passe de service, différents de ceux de votre compte : notez-les.
2. Ouvrez l'interface du routeur. Rendez-vous à son adresse locale, en général 192.168.1.1 ; notre guide accéder à l'interface du routeur couvre les cas où l'adresse ou le mot de passe résistent.
3. Créez un profil dans la section VPN. Choisissez « client VPN », ajoutez un profil, importez le fichier téléchargé, complétez les identifiants demandés puis nommez le profil clairement (« Suisse », « France 2 »).
4. Choisissez le protocole. Prenez WireGuard si les deux côtés le proposent : il est deux à quatre fois plus rapide et se reconnecte instantanément. OpenVPN en UDP reste un bon second choix ; réservez OpenVPN en TCP aux réseaux qui bloquent le reste, car il est nettement plus lent.
5. Activez le profil et vérifiez l'adresse IP de sortie. Depuis un appareil du réseau, ouvrez un site affichant votre adresse IP publique : elle doit correspondre au pays du serveur choisi. Vérifiez aussi que les serveurs DNS utilisés sont ceux du fournisseur VPN, faute de quoi vos requêtes de noms continuent de transiter par l'opérateur.
6. Réglez le contournement pour les appareils qui en ont besoin. Sur Asus, VPN Fusion permet de laisser certains appareils hors du tunnel ; sur OpenWrt, une règle de routage par adresse IP fait la même chose. À défaut, la méthode simple consiste à laisser le réseau invité hors du VPN et à y connecter le téléviseur et les objets connectés.
7. Activez le blocage en cas de coupure. Cherchez l'option « kill switch » ou « bloquer le trafic si le tunnel tombe » : sans elle, une déconnexion du VPN renvoie silencieusement tout le foyer en clair.

Vérifier, mesurer, et savoir renoncer

Une fois le tunnel actif, faites deux mesures : un test de débit avec le VPN, un autre sans. Si vous perdez plus de la moitié de votre connexion, essayez un autre serveur, puis WireGuard s'il est disponible, puis interrogez la puissance du routeur. Nos repères sur les unités et les écarts entre débit annoncé et débit réel sont détaillés dans débit, bande passante et latence.

Un VPN sur routeur ne remplace pas les fondamentaux : il masque votre adresse IP à l'extérieur, il ne protège pas contre un mot de passe Wi-Fi faible ni contre un firmware non mis à jour. La check-list de sécurisation du Wi-Fi reste le préalable. Et si l'objectif se limite à protéger un ordinateur portable dans les lieux publics, l'application du fournisseur sur cette seule machine sera plus rapide, plus souple et gratuite.